CVE-2026-34590 in postiz-app
Riassunto
di VulDB • 29/06/2026
Postiz è uno strumento di pianificazione dei social media basato sull'intelligenza artificiale. Prima della versione 2.21.4, l'endpoint POST /webhooks/ per la creazione di webhook utilizza WebhooksDto, che convalida il campo url solo tramite @IsUrl() (controllo del formato), omettendo il validatore @IsSafeWebhookUrl necessario per bloccare gli indirizzi delle reti interne/private. Gli endpoint di aggiornamento (PUT /webhooks/) e di test (POST /webhooks/send) applicano correttamente @IsSafeWebhookUrl. Quando un post viene pubblicato, l'orchestrator recupera l'URL del webhook memorizzato senza una convalida in fase di esecuzione, consentendo attacchi SSRF ciechi contro servizi interni. Questo problema è stato risolto nella versione 2.21.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.